Los criminales cibernéticos son una amenaza para sus clientes, sus empleados y su balance final. Separar la realidad de la ficción lo ayudará a protegerse de ellos.
En julio de 2017, la agencia de crédito estadounidense Equifax descubrió algo estremecedor: los piratas cibernéticos penetraron sus sistemas informáticos y robaron la información personal, incluso nombres, número de seguro social, fechas de nacimiento, direcciones y números de licencias de conducir, de más de 145.5 millones de consumidores estadounidenses. Se estima que el incidente costará cientos de millones de dólares.
Esta violación de datos sirve como una advertencia para las compañías de todos los tamaños y de todos los sectores. ¿Cuál es la mejor forma de ocuparse de los riesgos y las responsabilidades de la seguridad cibernéticade su negocio? Sepa la verdad acerca de quiénes están en la mira y cómo funciona la prevención. Para poder alcanzar ese nivel de conocimiento, aquí le mostramos cinco de los principales mitos con respecto a la seguridad en línea.
Mito: los criminales cibernéticos solo atacan a las grandes corporaciones
Existen motivos estratégicos para atacar a pequeñas compañías, según Don Turrentine, vicepresidente de Seguridad Cibernética en Regions. “Los pequeños y medianos negocios pueden ser más vulnerables dado que no suelen tener un equipo de informática y recursos especializados”, advierte Turrentine.
Tal es así, que el 61 por ciento de los pequeños y medianos negocios sufrieron un ataque cibernético el año anterior, según el Ponemon Institute. Y el tamaño de esas filtraciones prácticamente se ha duplicado, de acuerdo a los hallazgos del estudio de Ponemon Institute.
A veces la naturaleza aleatoria del crimen cibernético está detrás de los ataques: los criminales cibernéticos suelen usar programas informáticos conocidos como bots para explorar la web en busca de sistemas vulnerables, independientemente del tamaño o tipo de compañía.
Mito: los pequeños negocios no tienen nada valioso que robarles
Los pequeños negocios son blancos atractivos para los criminales que quieren:
- Robar dinero e información: las pequeñas compañías tienen cuentas bancarias corporativas que pueden vaciarse, secretos comerciales que pueden venderse e información clave que puede conservarse para pedir rescates. Además, también tienen empleados. Una compañía de 50 empleados, por ejemplo, ofrece 50 blancos a quienes robarles información personal y sobre sus cuentas bancarias.
- Llevar a cabo ataques distribuidos: para cubrir sus rastros, los criminales cibernéticos suelen usar botnets (redes de dispositivos infectados conectados por Internet bajo su comando). Su misión es usar computadoras de su pequeño negocio, smartphones o equipo inteligente del hogar para alterar Internet y afectar a otros millones de equipos.
- Piratear a grandes compañías: las pequeñas compañías tienen a grandes corporaciones como clientes, socios y proveedores. Si sus sistemas de informática están de algún modo conectados (mediante la integración de software, por ejemplo), los criminales pueden usar el sistema de la compañía más pequeña como puerta de entrada al sistema de la compañía más grande.
Mito: las protecciones básicas como el software anti-virus mantendrán alejados a los piratas cibernéticos
La firma de seguridad cibernética McAfee dice que emergen a cada minuto 245 nuevos elementos de malware. En ese promedio es imposible que un único elemento de software brinde una protección integral.
“Es necesario tener un abordaje escalonado de la seguridad cibernética”, dice Turrentine. “El anti-virus solo nunca es suficiente y solo sirve como una de esas partes”.
El SANS Institute , proveedor de capacitación en seguridad cibernética, dice que la seguridad cibernética consta de cinco partes:
- Software anti-virus;
- Controles de redes, como firewalls;
- Evaluaciones de reputación, que confirman que los archivos se originan de fuentes confiables;
- Análisis conductual, que ayuda a las organizaciones a detectar conductas anormales dentro de sus sistemas informáticos; y
- Corrección, por medio de la cual las organizaciones reparan y eliminan las amenazas cuando son detectadas.
Turrentine dice que la corrección es particularmente importante: “Tenga un plan para saber cómo reaccionar cuando se produzca un ataque y practique ese plan de reacción para que forme parte de su memoria muscular”, recomienda.
Mito: las contraseñas se deben cambiar con regularidad para obtener mayor protección
Una de las formas más efectivas de proteger la información es mediante contraseñas seguras. Por tal motivo, los proveedores de software y servicios históricamente han impuesto requisitos estrictos para contraseñas de usuarios.
Lamentablemente, dichos requisitos hacen que las contraseñas sean difíciles de recordar, lo que lleva a los consumidores a escribir sus contraseñas o a crear contraseñas fáciles de adivinar.
Hay una mejor forma, según Turrentine, quien recomienda usar una frase secreta simple de 12 caracteres (frase u oración) para períodos de tiempo más largos. “Los estudios han demostrado que eso es más seguro que tener una contraseña de seis a ocho caracteres y cambiarla cada 60 días”, dice.
Para que los datos estén aún más seguros, elija proveedores que utilicen la autenticación de dos factores. La autenticación de dos factores significa que el inicio de sesión requiere una contraseña y otra credencial, como por ejemplo un PIN, código de única vez que se envía por mensaje de texto o correo electrónico o reconocimiento biométrico.
Mito: la seguridad cibernética es responsabilidad del departamento de informática únicamente.
Todos los empleados deben trabajar conjuntamente para evitar los incidentes cibernéticos, según Turrentine, quien dice que el error humano, como por ejemplo abrir un archivo adjunto de correo electrónico sospecho sospechoso o hacer clic en un enlace web no confiable, es el responsable de la amplia mayoría de los ataques cibernéticos contra los negocios.
“Cada empleado ocupa un rol en la seguridad cibernética”, comenta y agrega que los negocios deben ofrecer capacitación obligatoria sobre seguridad cibernética para todos los empleados para que sepan cómo identificar, evaluar e informar sobre las personas, los correos electrónicos y los sitios web sospechosos. “No todos requieren de una capacitación técnica, pero sí necesitan recibir capacitación para concientizarse sobre la seguridad cibernética ”.
